Botnet-ul Sality, activ de peste 20 de ani și folosit pentru infectarea a milioane de calculatoare, a fost destructurat. România a participat, alături de Statele Unite, Bulgaria și Ungaria, la o operațiune internațională de destructurare a botnetului, o infrastructură malware folosită pentru furturi de criptomonede și atacuri cibernetice, potrivit Europol.
Acțiunea coordonată, desfășurată la 31 august 2026 și condusă de autoritățile din Statele Unite ale Americii, a vizat o rețea botnet despre care se estimează că funcționează de mai bine de două decenii. La apogeul său, botnet-ul îi oferea operatorului acces la până la un milion de dispozitive infectate la nivel mondial, arată Digi 24.
Până în prezent, peste 11 milioane de adrese IP unice au fost asociate infrastructurii, care putea fi utilizată pentru distribuirea de programe informatice malițioase către dispozitive compromise. România s-a numărat printre țările implicate în operațiune, alături de Statele Unite, Bulgaria și Ungaria. Potrivit Departamentului de Justiție al SUA, Poliția Română, Direcția de Combatere a Criminalității Organizate și Unitatea Centrală de Criminalitate Cibernetică au oferit asistență în cadrul anchetei internaționale.
Operațiunea a fost realizată în cooperare cu FBI, Defense Criminal Investigative Service (DCIS), Eurojust, Europol și companiile de securitate cibernetică CrowdStrike și Shadowserver Foundation. Ca parte a acțiunii de destructurare, a fost desfășurată o operațiune de tip „sinkhole” în cadrul rețelei peer-to-peer, prin care comunicațiile dispozitivelor infectate au fost redirecționate de la infrastructura criminală. Astfel, dispozitivele compromise au fost izolate de botnet, iar canalul de comandă al operatorului a devenit nefuncțional.
Botnetul Sality este activ din anul 2003 și a fost folosit pentru instalarea de programe malware pe dispozitive compromise. Calculatoarele infectate erau integrate într-o rețea de tip peer-to-peer (P2P), controlată de operatorii malware-ului. Dispozitivele compromise puteau fi utilizate pentru furturi de criptomonede, atacuri cibernetice și transmiterea de mesaje spam, în timp ce proprietarii calculatoarelor nu știau, de regulă, că dispozitivele lor fuseseră transformate în „boți”. În perioada sa de vârf, rețeaua Sality oferea infractorilor acces simultan la peste un milion de dispozitive infectate. Până în prezent, peste 11 milioane de adrese IP unice au fost asociate cu infrastructura compromisă folosită pentru distribuirea malware-ului.
În cadrul operațiunii, autoritățile americane au confiscat domenii asociate Sality în Statele Unite. În Europa, autoritățile din România, Bulgaria și Ungaria au intervenit asupra unor domenii asociate infrastructurii Sality. Departamentul de Justiție al SUA precizează că anchetatorii și procurorii din mai multe jurisdicții au oferit „asistență crucială”, România fiind reprezentată de Poliția Română, Direcția de Combatere a Criminalității Organizate și Unitatea Centrală de Criminalitate Cibernetică.
Pentru a bloca infrastructura criminală, autoritățile și partenerii privați au desfășurat o operațiune specializată de tip sinkhole. Prin această metodă, comunicațiile dintre calculatoarele infectate și infrastructura controlată de infractori au fost redirecționate către servere controlate de anchetatori. Astfel, dispozitivele compromise au fost izolate de infrastructura criminală, iar canalele prin care operatorii transmiteau comenzi au devenit inutilizabile. Operațiunea a fost coordonată de echipa Counter Adversary Operations a CrowdStrike, împreună cu Departamentul de Justiție, FBI, DCIS, autorități internaționale și alți parteneri din industrie.
Nu este prima colaborare între FBI și autoritățile din România. În luna martie, președintele Nicușor Dan a anunțat că FBI, împreună cu mai mulți parteneri, printre care SRI, a anunțat destructurarea unui atac informatic prelungit asupra infrastructurii sensibile din mai multe state occidentale.
"Actori cibernetici asociați GRU, serviciul de informații al armatei ruse, colectau informații militare, guvernamentale și legate de infrastructurile critice. Rusia continuă, deci, războiul hibrid împotriva țărilor occidentale și numai cine este de rea-credință nu vede asta. România trebuie să-și îmbunătățească securitatea cibernetică și să colaboreze în continuare cu partenerii occidentali", a scris șeful statului, pe Facebook
Departamentul american al justiției consemnează că ”Serviciile de informații militare ruse au deturnat din nou echipamentele americanilor pentru a acapara date critice”.
„Utilizarea abuzivă de către GRU a rețelelor din locuințele și companiile americane pentru operațiuni cibernetice malițioase rămâne o amenințare gravă și persistentă”, a declarat procurorul general adjunct pentru securitate națională, John A. Eisenberg. „Divizia de Securitate Națională va continua să folosească toate instrumentele disponibile pentru a detecta astfel de intruziuni și pentru a elimina actorii străini ostili din rețelele noastre”, a completat el.
„Serviciile de informații militare ruse au deturnat din nou echipamentele americanilor pentru a acapara date critice”, a declarat procurorul federal pentru Districtul de Est al Pennsylvaniei, David Metcalf.
„În fața agresiunii continue din partea adversarilor statali, guvernul SUA va răspunde la fel de ferm. Lucrând împreună cu FBI - și cu partenerii noștri din întreaga lume - suntem hotărâți să perturbăm și să expunem astfel de amenințări la adresa securității cibernetice a națiunii”, a spus el.
„Operațiunea Masquerade demonstrează angajamentul FBI de a identifica, expune și contracara eforturile guvernului rus de a compromite dispozitive americane, de a fura informații sensibile și de a viza infrastructuri critice”, a declarat directorul adjunct Brett Leatherman, din cadrul Diviziei Cibernetice a FBI.
”FBI și următorii parteneri emit acest anunț pentru a avertiza publicul și pentru a încuraja pe cei care asigură protecția rețelelor și proprietarii de dispozitive să ia măsuri pentru remedierea vulnerabilităților și reducerea zonei de atac a unor dispozitive similare de tip edge: Agenția Națională de Securitate a SUA (NSA) și parteneri internaționali din Canada, Cehia, Danemarca, Estonia, Finlanda, Germania, Italia, Letonia, Lituania, Norvegia, Polonia, Portugalia, România, Slovacia și Ucraina”, a precizat FBI.
CUM ACȚIONAU
Cel puțin din 2024, actori cibernetici ai Centrului Principal 85 pentru Servicii Speciale (85th GTsSS) din cadrul GRU – cunoscuți și sub denumirile APT28, Fancy Bear și Forest Blizzard – au colectat credențiale și au exploatat routere vulnerabile la nivel global, inclusiv compromițând routere TP-Link folosind vulnerabilitatea CVE-2023-50224, precizează FBI.
GRU a colectat parole, tokenuri de autentificare și informații sensibile, inclusiv e-mailuri și date de navigare web, care sunt în mod normal protejate prin criptare SSL (Secure Socket Layer) și TLS (Transport Layer Security).
”GRU a compromis fără discriminare un număr mare de victime din SUA și din întreaga lume, după care a filtrat utilizatorii afectați, vizând în special informații legate de domeniul militar, guvernamental și infrastructurile critice”, indică FBI.
